Mozilla Firefox 已更新至 42.0 版，修正了數個錯誤和安全性問題。Mozilla xulrunner 已更新至 xulrunner 38.4.0 版。SeaMonkey 已更新至 2.39 版。

Mozilla Firefox 中的新功能：

- 具有追蹤保護的隱私瀏覽，能夠封鎖可用來記錄您跨網站行為的特定 Web 元素

- 控制中心，包含網站安全性和隱私權控制項

- 登入管理員改善

- WebRTC 改善

- 已將指示器新增至播放音訊的索引標籤，且按一下便可靜音

- 適用於 HTML5 視訊的 Media Source Extension 可在所有網站中使用

安全性修正：

- MFSA 2015-116/CVE-2015-4513/CVE-2015-4514 其他記憶體安全危險

- MFSA 2015-117/CVE-2015-4515 (bmo#1046421) 透過 NTLM 驗證造成資訊洩漏

- MFSA 2015-118/CVE-2015-4518 (bmo#1182778、bmo#1136692) 因寬鬆的 Reader 模式允許清單而繞過 CSP

- MFSA 2015-119/CVE-2015-7185 (bmo#1149000) (僅限 Android) 在切換至全螢幕模式後，可移除 Android 版 Firefox 位址列

- MFSA 2015-120/CVE-2015-7186 (bmo#1193027) (僅限 Android) 透過 Android 上的本機 HTML 檔案讀取敏感設定檔

- MFSA 2015-121/CVE-2015-7187 (bmo#1195735) 在附加元件 SDK 面板中停用指令碼沒有任何效果

- MFSA 2015-122/CVE-2015-7188 (bmo#1199430) IP 位址主機名稱的結尾空白字元可繞過同源原則

- MFSA 2015-123/CVE-2015-7189 (bmo#1205900) canvas 中的影像互動過程出現緩衝區溢位

- MFSA 2015-124/CVE-2015-7190 (bmo#1208520) (僅限 Android) 可在 Android 版 Firefox 上利用 Android 意圖開啟具權限的檔案

- MFSA 2015-125/CVE-2015-7191 (bmo#1208956) (僅限 Android) 透過 Android 版 Firefox 之意圖發動 XSS 攻擊

- MFSA 2015-126/CVE-2015-7192 (bmo#1210023) (僅限 OS X) 以 OS X 上之協助工具存取 HTML 表格時發生的當機問題

- MFSA 2015-127/CVE-2015-7193 (bmo#1210302) 接收到非標準 Content-Type 標頭時會繞過 CORS 預檢

- MFSA 2015-128/CVE-2015-7194 (bmo#1211262) libjar 中的 zip 檔案有記憶體損毀問題

- MFSA 2015-129/CVE-2015-7195 (bmo#1211871) 系統將 Location 標頭之主機中的某些逸出字元視為未逸出

- MFSA 2015-130/CVE-2015-7196 (bmo#1140616) 透過 Java applet 進行的 JavaScript 記憶體回收程序損毀

- MFSA 2015-131/CVE-2015-7198/CVE-2015-7199/CVE-2015-7200 (bmo#1188010、bmo#1204061、bmo#1204155) 在程式碼檢查過程中發現弱點

- MFSA 2015-132/CVE-2015-7197 (bmo#1204269) 透過背景工作繞過混合內容 WebSocket 原則

- MFSA 2015-133/CVE-2015-7181/CVE-2015-7182/CVE-2015-7183 (bmo#1202868、bmo#1205157) NSS 和 NSPR 記憶體損毀問題 (已在 mozilla-nspr 與 mozilla-nss 套件中修正)

mozilla-nspr 已更新至 4.10.10 版：

- MFSA 2015-133/CVE-2015-7183 (bmo#1205157) 記憶體損毀問題

此更新包括 4.10.9 版的更新

- bmo#1021167：_MW_PollInternal 中發生失敗時
洩漏 |poll_list|

- bmo#1030692：再次使在 windows 上編譯 nspr 成為可能。

- bmo#1088790：dosprint() 不支援 %zu 和其他大小格式

- bmo#1130787：prtime.h 不會使用 MSVC 的 /Za (ISO C/C++ 一致性) 選項編譯

- bmo#1153610：MIPS64：新增對 n64 ABI 的支援

- bmo#1156029：教導 clang-analyzer 瞭解 PR_ASSERT

- bmo#1160125：MSVC 版本偵測中斷，CC 設定為包裝函式 (例如 sccache)

- bmo#1163346：新增對 FreeBSD mips/mips64 的 NSPR 支援

- bmo#1169185：新增對 OpenRISC (or1k) 的支援

- bmo：1174749：移除使用 MACOS_SDK_DIR 之 iOS 的設定區塊

- bmo#1174781：PR_GetInheritedFD 可使用未初始化的變數

mozilla-nss 已更新至 3.20.1 版：

- 需要 NSPR 4.10.10

- MFSA 2015-133/CVE-2015-7181/CVE-2015-7182 (bmo#1192028、bmo#1202868) 記憶體損毀問題

- 安裝連結 Java 7 中 Sun 橢圓曲線提供者所需的靜態 libfreebl.a。

這包括 Mozilla NSS 到 NSS 3.20 的更新
新功能：

- TLS 程式庫已延伸為在伺服器應用程式中支援 DHE 加密套件。新函式：

- SSL_DHEGroupPrefSet - 設定 NSS 可用於伺服器通訊端的一組已允許/已啟用的 DHE 群組參數。

- SSL_EnableWeakDHEPrimeGroup - 啟用對小於程式庫預設大小下限之弱式 DHE 群組參數的使用。新類型：

- SSLDHEGroupType - 列舉可與 SSL_DHEGroupPrefSet 函式搭配使用之 NSS 中內嵌的一組 DHE 參數。新巨集：

- SSL_ENABLE_SERVER_DHE - 通訊端選項使用者，可針對伺服器通訊端啟用或停用 DHE 加密套件。值得注意的變更：

- 基於回溯相容性的目的，TLS 程式庫的伺服器端實作預設會將所有 DHE 加密套件保持停用狀態。它們可使用新的通訊端選項 SSL_ENABLE_SERVER_DHE 以及 SSL_OptionSet 或 SSL_OptionSetDefault API 來啟用。

- 當使用 DHE 加密套件時，TLS 實作的伺服器端實作不支援工作階段票證 (請參閱 bmo#1174677)。

- 已新增對下列加密套件的支援：

- TLS_DHE_DSS_WITH_AES_128_GCM_SHA256

- TLS_DHE_DSS_WITH_AES_128_CBC_SHA256

- TLS_DHE_DSS_WITH_AES_256_CBC_SHA256

- 預設情況下，當使用 DHE 加密套件時，伺服器端 TLS 實作會使用大小為 2048 位元的 DHE 參數。

- NSS 內嵌大小為 2048、3072、4096、6144 和 8192 位元的固定 DHE 參數，其從 08 版本的網際網路草案「TLS 的已交涉有限欄位 Diffie-Hellman Ephemeral 參數」(即附錄 A) 中複製。

- 已將新的 API SSL_DHEGroupPrefSet 新增至 NSS，其允許伺服器應用程式選取一或多個內嵌的 DHE 參數作為偏好參數。NSS 的目前實作將一律使用陣列中作為參數傳遞至 SSL_DHEGroupPrefSet API 的第一個項目。在未來版本的 TLS 實作中，TLS 用戶端可能會發出特定 DHE 參數偏好設定的訊號，且 NSS TLS 伺服器端實作可能會從已在伺服器端設定為偏好的一組參數中，選取相符項目。

- NSS 可選擇支援將弱式 DHE 參數與 DHE 加密套件搭配使用，以支援舊版用戶端。為了啟用此支援，必須使用新的 API SSL_EnableWeakDHEPrimeGroup。每次在處理程序中第一次呼叫此 API 時，都會隨機建立一組新的弱式 DHE 參數，而這可能會花費較長時間。如需其他詳細資訊，請參閱宣告 SSL_EnableWeakDHEPrimeGroup API 之標頭檔案中的註解。

- certutil 在建立 DSA 金鑰時使用之預設 PQG 參數的大小，已增加為使用 2048 位元參數。

- selfserv 公用程式已增強為支援新的 DHE 功能。

- NSS 不再支援早於 ANSI C 標準 (C89) 的 C 編譯器。

它也包括 NSS 3.19.3 的更新；僅限 certstore 更新

- 已移除下列 CA 憑證

- Buypass Class 3 CA 1

- T&Uuml;RKTRUST Elektronik Sertifika Hizmet Sa&#x11F;lay&#x131;c&#x131;s&#x131;

- SG TRUST SERVICES RACINE

- TC TrustCenter Universal CA I

- TC TrustCenter Class 2 CA II

- 下列 CA 憑證已關閉網站信任位元

- ComSign Secured CA

- 新增下列 CA 憑證

- T&Uuml;RKTRUST Elektronik Sertifika Hizmet Sa&#x11F;lay&#x131;c&#x131;s&#x131; H5

- T&Uuml;RKTRUST Elektronik Sertifika Hizmet Sa&#x11F;lay&#x131;c&#x131;s&#x131; H6

- Certinomis - Root CA

- 更新版 root CA 清單的版本號碼已設為 2.5

- 安裝構建 Java 7 中 Sun 橢圓曲線提供者所需的 blapi.h 和 algmac.h

Mozilla Project 報告：

MFSA 2015-133 NSS 和 NSPR 記憶體損毀問題

MFSA 2015-132 背景工作會繞過混合內容 WebSocket 原則

MFSA 2015-131 在程式碼檢查過程中發現多個弱點

MFSA 2015-130 透過 Java applet 進行的 JavaScript 記憶體回收程序損毀

MFSA 2015-129 系統將 Location 標頭之主機中的某些逸出字元視為未逸出

MFSA 2015-128 libjar 中的 zip 檔案有記憶體損毀問題

MFSA 2015-127 接收非標準 Content-Type 標頭時，系統會繞過 CORS 預檢

MFSA 2015-126 以 OS X 上之協助工具存取 HTML 表格時發生當機問題

MFSA 2015-125 透過 Android 版 Firefox 之意圖發動 XSS 攻擊

MFSA 2015-124 可在 Android 版 Firefox 上利用 Android 意圖開啟具權限的檔案

MFSA 2015-123 canvas 中的影像互動過程出現緩衝區溢位

MFSA 2015-122 IP 位址主機名稱的結尾空白字元可繞過同源原則

MFSA 2015-121 在附加元件 SDK 面板中停用指令碼沒有任何效果

MFSA 2015-120 透過 Android 上的本機 HTML 檔案讀取敏感設定檔

MFSA 2015-119 在切換至全螢幕模式後，可移除 Android 版 Firefox 位址列

MFSA 2015-118 因寬鬆的 Reader 模式允許清單而繞過 CSP

MFSA 2015-117 透過 NTLM 驗證造成資訊洩漏

MFSA 2015-116 其他記憶體安全性危險 (rv:42.0 / rv:38.4)

ID	名稱	產品	系列	已發布	已更新	嚴重性
86807	openSUSE 安全性更新：MozillaFirefox / mozilla-nspr / mozilla-nss / 等 (openSUSE-2015-718)	Nessus	SuSE Local Security Checks	2015/11/10	2021/1/19	critical
86955	FreeBSD：mozilla -- 多個弱點 (9d04936c-75f1-4a2c-9ade-4c1708be5df9)	Nessus	FreeBSD Local Security Checks	2015/11/20	2021/1/6	critical

偵測

搜尋 Plugin

critical

critical